Rails 個人情報の取り扱い

Question

ユーザから個人情報を入力してもらいDBに保存する場合は
暗号化をする必要があると思うのですが上記を実装する上で注意すべき点を教えてください
例：DB以外ににもpostの時点で考慮すべき点などがあるなど

暗号化部分はattr_encryptedというgemを使用しようと思います。
こっちの方が良いよ、というものがあれば教えて下さい

Answer 1

暗号化をする必要があると思うのですが

殆どの場合は、暗号化する必要はありません。

データを暗号化して保存していたとしても、アプリケーションから復号化データを参照できる以上、暗号化するメリットがほとんどありません。
暗号化に意味があるのは、データが格納されているサーバーより、Railsが動いているサーバーのほうがセキュアであるという状況でのみです。

Comments

[smith]

Address.find(current_user[:id])と書くだけでいいのでしょうか？（URL直うち対策）
あとはSSL導入だけで良いのでしょうか

[hello-world]

はい、パスワードを使うログインで他の人にログインされたらまずいようなサービスであればHTTPSで提供するのがよいです。

URL直うち対策はそもそもどのようなURLで何を公開するかが定まっていないと何とも言えません。

[smith]

いつもありがとう御座います。